Política de Privacidade

1. Quem somos

O Maguyva é um serviço de inteligência de código operado pela UT INTERNATIONAL PTE. LTD., uma empresa registrada em Singapura.

2. O que coletamos

Coletamos quatro categorias de dados:

• Dados da conta: seu nome, endereço de e-mail e token OAuth do GitHub (usado para acessar os repositórios que você autorizar)
• Dados de código: seu código-fonte (armazenado para exibir o conteúdo dos arquivos e viabilizar a busca), árvores de sintaxe abstrata, grafos de símbolos e embeddings semânticos derivados do seu código
• Dados de uso: quais ferramentas você chama, carimbos de data/hora e padrões agregados de consultas
• Dados de desempenho e de erros do site: usamos o Grafana Faro, executado em nossa própria infraestrutura, para medir o desempenho das páginas e encontrar erros. Ele coleta o caminho da página (sem parâmetros de consulta), o navegador, o sistema operacional e o tipo de dispositivo, medições de desempenho, erros de JavaScript e os tempos das requisições da página, vinculados por um identificador de sessão aleatório guardado no armazenamento local; ele expira após cerca de 16 minutos de inatividade e é substituído na sua próxima visita. Ele não contém nome, e-mail nem identificador de conta e não é combinado com dados de conta ou de publicidade. Nós nos baseamos em nosso interesse legítimo em manter o site funcionando (em Singapura, a finalidade de melhoria do negócio). Os logs são mantidos por 30 dias e os traces por 14 dias. Para se opor, entre em contato pelo privacy@maguyva.ai.

Armazenamento do navegador. Este site armazena uma pequena quantidade de dados no armazenamento local do seu navegador para lembrar sua preferência de modo de cor (chave: "maguyva-color-mode"). Se você ativar o easter egg opcional do CRT, o tema visual ativo é armazenado no armazenamento de sessão apenas para a aba atual. Esses dados nunca saem do seu navegador e não são transmitidos aos nossos servidores. Se você chegar por um dos nossos anúncios, os parâmetros de campanha e os identificadores de clique em anúncio presentes nesse link também são mantidos no armazenamento de sessão da aba atual (chave: "maguyva_utm") e repassados ao nosso aplicativo quando você segue um link de cadastro ou de login; consulte "6. Cookies e publicidade" abaixo. A Cloudflare, nossa provedora de infraestrutura, pode definir cookies funcionais para fins de segurança. Para análises agregadas de uso, usamos o Umami, um serviço de análise sem cookies e que respeita a privacidade, que não define cookies nem coleta informações de identificação pessoal. Para desempenho das páginas e monitoramento de erros do navegador usamos o Grafana Faro, que armazena um identificador de sessão gerado aleatoriamente no armazenamento local do seu navegador (chave: "com.grafana.faro.session"), que expira após cerca de 16 minutos de inatividade e é substituído na sua próxima visita, para que uma sequência de medições seja reconhecida como uma única visita; ele não carrega nome, endereço de e-mail nem identificador de conta (veja "Dados de desempenho e de erros do site" acima). O Faro não é carregado e essa chave não é gravada para visitantes no Espaço Econômico Europeu, no Reino Unido ou na Suíça, nem quando não conseguimos determinar sua região - a mesma regra regional dos cookies de publicidade descritos em "6. Cookies e publicidade" abaixo.

3. Como usamos os dados

Usamos seus dados para indexar seu código e oferecer os recursos de inteligência de código, processar pagamentos via Stripe, enviar e-mails transacionais (confirmações de conta, recibos de cobrança) e calcular estatísticas agregadas de uso. Não usamos o código de clientes para treinar modelos de aprendizado de máquina. Não vendemos seus dados.

4. Seu código

Quando você conecta um repositório, seu código-fonte é armazenado na infraestrutura do nosso serviço para viabilizar os recursos de inteligência de código, incluindo recuperação de arquivos e busca. Fazemos o parsing do código com tree-sitter, geramos embeddings semânticos através da Voyage AI e construímos um grafo de símbolos de definições e referências. A requisição de embedding envia blocos semânticos orientados pela AST, não arquivos ou repositórios completos, e exclui metadados que identificam o cliente, como nomes de repositórios, nomes de usuário, identificadores de organização e caminhos de arquivo. Esses blocos são usados para gerar embeddings sob termos de API e configurações de conta que não permitem o treinamento com dados de clientes. O código-fonte e os dados de índice derivados são armazenados no PostgreSQL nos formatos necessários para recuperação de arquivos, busca e análise de grafo. O acesso ao produto é controlado por controles de acesso restritos ao escopo de cada organização e namespace; os operadores do Maguyva podem acessar dados de repositório apenas conforme necessário para operar, proteger ou dar suporte ao serviço. Quando você desconecta um repositório ou cancela sua conta, o código-fonte indexado ativo e os dados derivados são removidos dos sistemas do serviço, com cópias de backup residuais expirando dentro da janela de retenção de backup.

5. Terceiros

Usamos os seguintes serviços para operar o Maguyva:

• Supabase (hospedagem de banco de dados, regiões da AWS nos EUA)
• Cloudflare (CDN, computação de borda, DNS)
• Voyage AI, agora parte da MongoDB (geração de embeddings - recebe blocos de código orientados pela AST sem identificadores de cliente, não arquivos ou repositórios completos)
• Stripe (processamento de pagamentos)
• GitHub (autenticação OAuth e acesso a repositórios)
• Umami (análise de uso do site sem cookies - apenas métricas agregadas, sem informações de identificação pessoal)
• Railway (hospedagem, em Singapura, do sistema de monitoramento que operamos nós mesmos com software de código aberto da Grafana - armazena os dados de desempenho e de erros do site descritos em "2. O que coletamos", que chegam até ele somente pelo nosso próprio coletor em faro.synacy.xyz; a Grafana Labs não recebe esses dados. O script de monitoramento não é carregado de forma alguma para visitantes no Espaço Econômico Europeu, no Reino Unido ou na Suíça, nem quando não conseguimos determinar sua região)
• Google Ads (medição de conversão - recebe parâmetros de campanha e identificadores de clique em anúncio quando você cria uma conta, não dados de conta ou de código)

6. Cookies e publicidade

Anunciamos o Maguyva por meio do Google Ads e medimos quais anúncios levam a cadastros. A tag do Google (gtag.js) é carregada tanto em maguyva.ai quanto em app.maguyva.ai. Onde o armazenamento de publicidade é permitido, ela define cookies da família "_gcl_" (por exemplo, "_gcl_aw", retido por até 90 dias) que registram o clique em anúncio que precedeu sua visita, e o aplicativo informa uma conversão ao Google Ads quando você cria uma conta. Em ambos os domínios, também definimos um cookie próprio, "maguyva_first_touch", que registra o primeiro link publicitário pelo qual você chegou, para que possamos saber qual publicidade gerou uma conta. Além dos cookies de consentimento e de região descritos abaixo, não definimos nenhum outro cookie de publicidade em nossos próprios domínios.

• O que é enviado ao Google: apenas parâmetros de campanha e identificadores de clique em anúncio. O restante do endereço da página, incluindo qualquer endereço de e-mail carregado por um link de convite, é removido antes que o relatório chegue ao Google.
• Os sinais de personalização de anúncios estão desativados, portanto isso mede conversões em vez de construir públicos publicitários.
• O que o "maguyva_first_touch" contém: os parâmetros de campanha do link pelo qual você chegou (utm_source, utm_medium, utm_campaign, utm_content, utm_term), o identificador de clique em anúncio que ele carregava (gclid, gbraid, wbraid, dclid, twclid ou rdt_cid), o endereço da página que encaminhou você, o caminho em que você entrou, incluindo seus parâmetros, e o horário dessa chegada. Ele é definido pelos nossos servidores, não é legível por scripts em execução na página e é mantido por até 90 dias.
• Ele registra apenas sua primeira chegada por publicidade - um clique em anúncio posterior não o substitui. Se você criar uma conta, esses valores são copiados para essa conta para que possamos atribuí-la à publicidade que a gerou, e o cookie é então excluído. Se você nunca criar uma conta, ele expira por conta própria.
• Nosso site de marketing em maguyva.ai também mantém os identificadores de clique em anúncio da sua chegada no armazenamento de sessão da aba atual, para que possam ser repassados ao aplicativo quando você segue um link de cadastro ou de login, conforme descrito em "2. O que coletamos". Essa cópia é descartada quando você fecha a aba.
• Onde perguntamos antes: para visitantes no Espaço Econômico Europeu, no Reino Unido ou na Suíça, e sempre que não conseguimos determinar sua região, a tag é carregada com o armazenamento de publicidade desativado e os identificadores de clique em anúncio removidos do que ela envia, e perguntamos antes de definir qualquer cookie de publicidade. Até você responder, o Google recebe apenas um sinal sem cookies de que uma página foi visualizada. Se você permitir, os cookies "_gcl_" e "maguyva_first_touch" são definidos conforme descrito acima. Se você recusar, nenhum dos dois é definido e nenhum registro de primeiro contato é coletado.
• Sua resposta é mantida por 12 meses em um cookie chamado "maguyva_ad_consent", compartilhado entre maguyva.ai e app.maguyva.ai, contendo apenas a resposta e a versão deste aviso sob a qual ela foi dada. Ele é definido tanto se você permitir quanto se recusar, para que não perguntemos de novo. Você pode alterá-la a qualquer momento pelo link "Opções de cookies" no rodapé de maguyva.ai ou em Settings > Security no aplicativo; mudar para recusar interrompe qualquer armazenamento de publicidade posterior, e os cookies que o Google já definiu expiram no próprio prazo deles.
• Em maguyva.ai, um cookie de uma hora chamado "maguyva_ad_region" registra apenas se sua região é uma daquelas em que perguntamos. Ele não contém nenhum dado pessoal.
• O Google pode definir cookies em seus próprios domínios quando a conversão é informada; esses cookies são regidos pela política de privacidade do Google.

7. Segurança de dados

Os dados são transmitidos via HTTPS/TLS. Os dados de repositório indexados são armazenados em infraestrutura gerenciada com criptografia em repouso no nível de armazenamento. O código-fonte e os dados de índice derivados permanecem legíveis para o serviço quando necessário para busca, recuperação de arquivos, suporte e operações de segurança. O acesso ao repositório é controlado por controles de acesso restritos ao escopo de cada organização e namespace. As chaves de API são validadas em relação aos metadados armazenados e às restrições de acesso do repositório.

8. Seus direitos

De acordo com o PDPA de Singapura e o GDPR da UE (quando aplicável), você tem o direito de:

• Acessar os dados pessoais que mantemos sobre você
• Corrigir dados incorretos
• Solicitar a exclusão dos seus dados e repositórios indexados
• Exportar os dados da sua conta
• Opor-se ao tratamento ou retirar o consentimento

9. Retenção de dados

Contas ativas: os dados são retidos enquanto sua conta estiver ativa. Repositórios removidos e contas excluídas: o código-fonte indexado ativo e os dados derivados são removidos em até 30 dias, com cópias de backup residuais expirando em até 90 dias. Os registros de cobrança são retidos por 7 anos, conforme exigido por lei. Dados de desempenho e de erros do site descritos em "2. O que coletamos": os logs são mantidos por 30 dias e os traces por 14 dias e depois excluídos automaticamente; para se opor à coleta, entre em contato pelo privacy@maguyva.ai.

10. Alterações e contato

Enviaremos um e-mail sobre alterações relevantes nesta política. Para dúvidas ou solicitações de dados, entre em contato com privacy@maguyva.ai.